Schütze deinen Apple TV im Wi-Fi von Hotel und Airbnb

Hotelnetze sind überfüllt und werden von Leuten betrieben, die du nicht kennst. Airbnb-Netze richten Leute ein, die du vielleicht kennst — oft mit alten Routern. So oder so: Dein Apple TV ist jedes Mal exponiert, wenn er sich einwählt — es sei denn, jedes Byte verlässt das Zimmer verschlüsselt.

Das Problem

In einem typischen Hotelnetz hängen über 200 Geräte, oft in einer flachen Broadcast-Domäne. Der Betreiber kann jede Domain mitschreiben, die du besuchst, jeden Streamingdienst, den du startest, und mit billigen Werkzeugen auch die Metadaten dazu, mit wem dein Gerät spricht. Airbnb-Gastgeber recyceln gern alte, nie aktualisierte Router mit Standard-Passwörtern. Manche Smart-TV-Setups zeigen dem Gastgeber sogar, was gerade auf dem angeschlossenen Gerät läuft.

Der Apple TV hat keinen abgeschotteten Netzwerk-Stack im Stil eines Smartphones. Apps machen ganz normale Netzwerkaufrufe. Und reichlich „smarte“ Funktionen (AirPlay-Erkennung, App-Analytics, Werbe-SDKs) plaudern nebenbei Informationen aus. Die Lösung ist, die Verbindung selbst zu verschlüsseln.

So schützt dich WG Connect

WG Connect leitet 100 % des Datenverkehrs deines Apple TV durch einen WireGuard-Tunnel, bevor er das lokale Netz überhaupt berührt. Der Hotelrouter sieht weiterhin verschlüsselte UDP-Pakete zu einer einzigen IP — deinem VPN-Anbieter oder deinem Heimrouter — kann davon aber nichts lesen oder einordnen. Auch DNS-Anfragen laufen durch den Tunnel, damit selbst das Mitlesen auf Hostname-Ebene (die einfachste Variante) unmöglich wird.

  Ohne VPN                              Mit WG Connect

  ┌──────────┐                          ┌──────────┐
  │ Apple TV │ ── DNS offen ───┐        │ Apple TV │ ── verschlüsselt ┐
  └──────────┘                 ▼        └──────────┘                  ▼
                         ┌──────────┐                           ┌──────────┐
                         │  Hotel-  │ sieht: wer, was,          │  Hotel-  │ sieht: Rauschen
                         │  Router  │ wann, wo                  │  Router  │
                         └──────────┘                           └──────────┘
  

Schritt für Schritt

1. Such dir vor der Reise einen VPN-Anbieter aus. Mullvad und IVPN sind bei Datenschutzbewussten beliebt, ProtonVPN hat einen kostenlosen Tarif. Erzeuge die WireGuard-.conf im Webportal des Anbieters, solange du zu Hause noch an einer vertrauenswürdigen Leitung sitzt.
2. Importiere die Konfiguration in WG Connect. App auf dem Apple TV öffnen → Profil hinzufügen → Vom Handy hochladen. QR-Code scannen und die .conf vom Handy über das lokale Hotel-Wi-Fi hochladen (das ist unbedenklich — die Datei enthält unterwegs nichts Sensibles; die Schlüssel entstehen erst beim Import).
3. Always-on aktivieren. Schalte in den Einstellungen von WG Connect das automatische Neuverbinden per Always-on ein. Der Tunnel greift dann jedes Mal von selbst, sobald der Apple TV online geht.
4. Captive Portal erledigen. Wenn das Hotel eine Seite mit Nutzungsbedingungen verlangt, bestätige sie zuerst in der Einstellungen-App des Apple TV (die hat einen eingebauten Browser dafür) und aktiviere danach WG Connect.
5. Kontrollieren. Auf dem Hauptbildschirm von WG Connect sollte der Status Verbunden mit cyanfarbenem Leuchten stehen. Dann streamst du ganz normal — Netflix, Plex durch den Tunnel, YouTube, alles Ende zu Ende verschlüsselt.

Welche Verschlüsselung du tatsächlich bekommst

WireGuard nutzt ChaCha20-Poly1305 — dieselbe Chiffre, die auch Cloudflare und Google für HTTPS einsetzen. Die Schlüssel werden per Elliptische-Kurven-Kryptografie mit Curve25519 ausgehandelt. Gegen diese Konstruktion ist kein praktikabler Angriff bekannt. Das Protokoll ist klein (unter 4.000 Zeilen Code) und wurde mehrfach auditiert. Dein privater Schlüssel verlässt den Schlüsselbund des Apple TV nie.

Was du beachten solltest

• Manche Hotels drosseln oder blockieren UDP. Wenn WG Connect nicht verbindet, wirf einen Blick in unseren AmneziaWG-Leitfaden — damit sieht der Tunnel aus wie gewöhnlicher Internetverkehr und rutscht an einfachen Filtern vorbei.
• Streaming-Apps erkennen mitunter VPN-Ausgänge. Ein paar Dienste (selten) verweigern die Wiedergabe, wenn deine IP zu einem bekannten VPN gehört. Mullvad und IVPN haben dafür Endpunkte im Stil normaler Privatanschlüsse; alternativ nimmst du einen Tunnel zurück zum eigenen Heimrouter für Dienste, die an deiner Heim-IP hängen.
• Die Performance ist hervorragend. WireGuard ist das schnellste verbreitete VPN-Protokoll. In einem Hotelnetz mit 50 Mbit/s ist 4K-Streaming durch den Tunnel nicht von der Variante ohne Tunnel zu unterscheiden.

Häufige Fragen